アプリケーションリスクプロファイルは、機能要件のレビュー時に更新する必要があります。これは、アプリケーションの変更によって生じる可能性のある潜在的なリスクを特定・評価し、適切なリスク対応を計画・実施するのに役立ちます。この段階でアプリケーションリスクプロファイルを更新することで、変更が組織の目標、ポリシー、標準に準拠していること、そして利害関係者の期待とニーズを満たしていることを保証できます。ユーザー受け入れテスト後、本番環境へのリリース時、またはバックログのスケジュール作成中にアプリケーションリスクプロファイルを更新するのは、リスクプロファイルを更新するのに最適なタイミングではありません。これらのタイミングでは、関連するリスクとその影響を把握するには遅すぎたり早すぎたりする可能性があります。参考文献：『リスクおよび情報システム管理研究マニュアル』第7版、第2章、セクション2.1.1.1、511ページ
1: ISACA リスクおよび情報システム管理認定 (CRISC) 試験ガイド、質問への回答
655.

意思決定を可能にする主要リスク指標（KRI）の最も重要な特徴は、
リスクの傾向の変化。リスクの方向と規模を明確かつタイムリーに示すため、
リスクのレベルと露出を明らかにし、関係者がリスクに対処するために積極的かつ適切な行動をとることを可能にします。
他のオプションは監視に関係するものなので、最も重要な特性ではありません。
リスクの測定、またはリスクの特定ではなく、リスクの例示である。
トレンド。参考文献 = CRISCレビューマニュアル、第7版、110ページ。

組織が採用プロセスの一環として、生産システムへの高度なアクセス権限を持つ役職の身元調査を実施すべき主な理由は、内部脅威の軽減です。内部脅威とは、従業員、請負業者、パートナーなど、組織内部から発生するリスクです。生産システムへの高度なアクセス権限を持つ役職には、機密データや重要なデータ、システムにアクセス、変更、削除する権限と能力が与えられます。悪意のある人物、犯罪歴のある人物、利益相反のある人物にこれらの役職が割り当てられた場合、組織のセキュリティ、完全性、可用性に重大な脅威をもたらす可能性があります。身元調査を実施することで、組織は候補者の身元、資格情報、経歴を確認し、信頼できない人物や不適格な人物を採用する可能性を防止または最小限に抑えることができます。その他の選択肢は、内部脅威の軽減ほど重要ではありません。なぜなら、それらは生産システムへの高度なアクセス権限を持つ役職の成果、影響、または要件に関連するものであり、身元調査を実施する理由ではないからです。参考文献：リスクおよび情報システム管理学習マニュアル、第3章「ITリスク対応」、第3.3節「ITリスク対応の実施」、145ページ。

組織の現在のリスクシナリオの妥当性を確保する最も効果的な方法は、リスク評価プロセスにステークホルダーを関与させることです。ステークホルダーは、それぞれの領域と目標に影響を与えるリスクシナリオに関する知識、経験、そして関心を持つからです。ステークホルダーの関与は、リスクシナリオの特定と検証、リスク分析と評価に関するインプットとフィードバックの提供、そしてリスクシナリオとビジネスプロセスおよび目標の整合性と統合の確保に役立ちます。他の選択肢は、ステークホルダーの関与ほど効果的ではありません。その理由は以下のとおりです。
オプション A: 業界のベスト プラクティスを採用することは、リスク シナリオの品質と一貫性を向上させる良い方法ですが、組織の特定のコンテキストと環境との関連性を保証するものではありません。
業界のベスト プラクティスは、組織固有のリスクやニーズを反映していない可能性がある一般的な標準化されたガイドラインです。
オプションC：独立した第三者によるリスクシナリオのレビューは、リスクシナリオの正確性と信頼性を検証・向上させる上で有用な方法ですが、組織内外のステークホルダーにとっての関連性を保証するものではありません。独立した第三者は客観的かつ公平なレビュー担当者であり、ステークホルダーと同じ知識、経験、関心を持っているとは限りません。
オプションD：ビジネスケースにおける潜在的リスクの文書化は、リスクシナリオの重要性と価値を伝え、正当化する上で有用な方法ですが、組織の現状および将来の状況との関連性を保証するものではありません。ビジネスケースは簡潔で説得力のある文書ですが、リスクシナリオのあらゆる側面や次元を網羅しているとは限りません。参考文献：リスクおよび情報システムコントロール学習マニュアル、第7版、ISACA、2020年、104ページ。